Poco después de la medianoche del lunes 12 de octubre de 2026, los controladores de refrigeración de varios cientos de supermercados franceses empezaron a calentar en lugar de enfriar. Los atacantes, que habían obtenido acceso remoto a unidades de supervisión Danfoss, elevaron las consignas de temperatura a unos 50 °C y bloquearon el equipo en un ciclo de desescarche continuo. Cuando llegaron los responsables de tienda, los congeladores que normalmente se mantienen a -18 °C marcaban temperaturas positivas, una pantalla Danfoss todavía mostraba 26 °C y, en el Intermarché de La Haye (Manche), los muebles frigoríficos se habían deformado bajo un calor que el personal cifró en 80 °C. La Fiscalía de París confirmó pérdidas de alimentos e incendios. Danfoss confirmó que sus controladores fueron el objetivo. El primer ministro Sébastien Lecornu entregó el caso a ANSSI esa misma tarde. El registro completo del incidente está en la base de datos.
Qué hicieron los atacantes
La refrigeración comercial de un supermercado está gobernada por un controlador de supervisión a nivel de sitio que coordina los controladores de mueble de cada vitrina, cámara frigorífica y central de compresores. Danfoss comercializa esta capa como la línea de gestores de sistema ADAP-KOOL, y la empresa afirma tener más de 50.000 instalaciones de este tipo en la distribución alimentaria. Cada mueble ejecuta un desescarche programado, normalmente de una o dos horas al día, en el que resistencias o gas caliente funden el hielo del evaporador mientras el producto permanece tras una puerta cerrada. Los atacantes abusaron de esa función. En lugar de un ciclo diario corto, el desescarche funcionó de forma continua con la temperatura objetivo fijada en 50 °C.
El Intermarché de Grand-Couronne, cerca de Rouen, fechó el cambio en su propio sistema a las 4:44 de la madrugada. Le Monde informó de que los atacantes también alargaron la duración del desescarche de una a ocho horas, lo que retrasó el momento en que se dispararían las alarmas de temperatura. Varios empleados contaron al sitio especializado Je Bosse en Grande Distribution que la propia función de alertas había sido desactivada, por lo que los técnicos frigoristas de guardia nunca recibieron aviso. Las tiendas que abrieron temprano por casualidad, o cuyos responsables todavía recibieron una alerta remota, salvaron parte de su stock. La mayoría no lo hizo. En una tienda de Gironda, una cámara frigorífica que alcanzó los 50 °C activó el sistema de rociadores. Thomas Lazzaroni, de Cyberattaque.org, describió el método como un desvío del modo de desescarche hacia un ciclo sostenido de varias horas, y Antoine Hautin, de la consultora Almond, dijo a AFP que golpear cientos de unidades a la vez apuntaba a cierto grado de sofisticación y a un reconocimiento previo.
La operación no robó datos ni tocó los sistemas de caja. Según la normativa francesa de cadena de frío, el producto que ha salido de su rango de temperatura no puede venderse, así que las tiendas afectadas siguieron un procedimiento establecido: registrar las temperaturas, fotografiar cada unidad, obtener un acta de agente judicial (constat d’huissier) para la aseguradora, retirar y contar el stock, y destruirlo.
El equipo y las vulnerabilidades conocidas
Danfoss dijo a AFP el 12 de octubre que la mayoría de las unidades afectadas eran productos heredados que ya no reciben actualizaciones de software ni de seguridad. Nombró el AK-SM 800, declarado en fin de vida útil en mayo de 2021, y el AK-SC 355, retirado en 2016, y reconoció que algunas unidades AK-SM 800A de generación actual funcionaban con firmware desactualizado. La empresa dijo que estaba en estrecho contacto con los clientes franceses afectados y que estaba desplegando “actualizaciones de firmware donde estén disponibles, protecciones de red más sólidas y la eliminación de la exposición directa a Internet donde corresponda”.
El AK-SM 800A tiene un historial de seguridad documentado. A principios de 2025, Tomer Goldschmidt, de Claroty Team82, reportó a Danfoss una vía de autenticación oculta en la interfaz web integrada del controlador: un inicio de sesión de soporte cuya contraseña se deriva de la fecha actual del dispositivo, y que los investigadores lograron reconstruir. Danfoss publicó el aviso DSA-2025-03-01 y la versión R4.2 el 24 de marzo de 2025, y el fallo se convirtió en la CVE-2025-41450 (CVSS v3.1 8.2) cuando CISA emitió el aviso ICSA-25-140-03 el 20 de mayo de 2025. Otros dos errores, una inyección de comandos posterior a la autenticación a través de los ajustes de alarma por correo (CVE-2025-41451) y una inyección de configuración de nginx (CVE-2025-41452), se corrigieron en la R4.3.1 en agosto de 2025 y se añadieron al aviso de CISA el 26 de agosto de 2025. Team82 presentó el trabajo públicamente el 9 de agosto de 2026 bajo el título “Freeze the Controller, Defrost the Food” (congela el controlador, descongela los alimentos), junto con 23 vulnerabilidades en supervisores Copeland XWEB Pro, e informó de que un escaneo de Censys había encontrado 2.765 interfaces de gestión de AK-SM 800A expuestas a Internet.
Las cifras de exposición tras el ataque fueron peores. El 12 de octubre, Baptiste Robert, de Predicta Lab, contabilizó 2.752 sistemas Danfoss accesibles desde Internet, 1.590 de ellos en Francia. Valéry Rieß-Marchive, de LeMagIT, encontró cerca de 3.000 direcciones IP francesas que servían la consola Danfoss StoreView, algunas con fechas de última modificación entre 2021 y 2024. Shodan devolvió más de 4.500 dispositivos Danfoss en todo el mundo. Una nota técnica de Danfoss de octubre de 2025 ya había descrito dos incidentes anteriores del mismo tipo: 16 supermercados en Rusia y 40 tiendas en Israel atacados en 2022 a través de unidades AK-SM 800 que estaban en Internet sin cortafuegos ni VPN.
Nada de esto demuestra qué vía tomaron los atacantes el 11 de octubre. El aviso de CISA, en su última revisión, no registraba ninguna explotación conocida de las tres CVE. Las unidades AK-SM 800 y AK-SC 355 que constituían la mayoría de las víctimas son anteriores a toda la investigación sobre el AK-SM 800A, y un dispositivo de 2016 expuesto en una dirección pública puede no necesitar vulnerabilidad alguna. Nada público sugiere que la propia infraestructura alojada de Danfoss haya sido vulnerada, aunque Les Mousquetaires optó por describir el evento como un ataque “en Danfoss”. Los investigadores no han descartado controladores heredados expuestos, la explotación de las CVE publicadas, credenciales de mantenimiento robadas ni una sesión de acceso remoto secuestrada en una empresa instaladora de refrigeración. El aviso de CERT-FR del 12 de octubre afirma únicamente que la agencia tiene conocimiento de numerosos compromisos de dispositivos de las series AK-SM y AK-SC y que exponer una interfaz de gestión a Internet es contrario a las buenas prácticas.
Escala y pérdidas
Los recuentos de tiendas cambiaron durante todo el día y todavía difieren según la fuente. Les Mousquetaires, que opera Intermarché y Netto, pasó de unas 150 tiendas por la mañana a al menos 300 por la tarde, con aproximadamente 100 tiendas que desecharon toda su gama refrigerada. Coopérative U informó de algo menos de 100 tiendas. Carrefour confirmó 80 de sus aproximadamente 6.000 tiendas francesas. Monoprix situó su cifra en unas 30, el 5 por ciento de su red. E.Leclerc dijo que varias tiendas resultaron afectadas a través de uno de sus proveedores de equipos de refrigeración. Los empleados también informaron de pérdidas en Carrefour Market, Carrefour City, Metro y Picard, y en carnicerías independientes que usaban la misma plataforma de supervisión. Las estimaciones agregadas fueron desde 250 a 350 tiendas (BleepingComputer) hasta más de 400 (RTS) y unas 500 (Cooling Post). La observación de un empleado resumió el patrón: todas las tiendas cuya monitorización de temperatura pasaba por la plataforma Danfoss resultaron afectadas, fuera cual fuera la enseña.
Las pérdidas por tienda se cifraron en unos 50.000 euros en el Intermarché de Haguenau y el Intermarché de Guerlédan, entre 150.000 y 200.000 euros por 60 metros cúbicos de alimentos en una tienda de Gironda, y 220.000 euros en el Super U de Wasselonne. Les Mousquetaires estimó el total nacional en varios millones de euros. Intermarché advirtió de que el seguro estándar de las tiendas podría no cubrir un ciberataque contra equipos de refrigeración, y quién paga en última instancia (la aseguradora, la empresa instaladora de refrigeración o Danfoss) sigue sin resolverse. Los pasillos de frescos y congelados permanecieron cerrados durante días, los proveedores vieron cancelados sus pedidos y algunas tiendas no esperaban recuperar las secciones de congelados antes de finales de semana.
Respuesta oficial
El director general de Coopérative U, Dominique Schelcher, dio a conocer la noticia en X a última hora de la mañana del 12 de octubre, confirmando que “un ciberataque afecta desde anoche a las instalaciones de producción de frío de varias tiendas de nuestra red” y calificando un ataque contra equipos esenciales para la conservación de alimentos de “extremadamente grave y sin precedentes”. Una nota interna de Intermarché fechada el mismo día “confirma la existencia de un ciberataque ocurrido durante la noche en Danfoss”, y a las 11 de la mañana comenzó una reunión de crisis con Danfoss y la empresa instaladora de refrigeración Axima.
La sección de ciberdelincuencia de la Fiscalía de París abrió de oficio una investigación a mediodía sobre “el ciberataque a gran escala que afecta a los refrigeradores de varias grandes cadenas de distribución alimentaria en toda Francia” y la asignó a la Office anti-cybercriminalité (OFAC). Por la tarde, el gabinete del primer ministro dijo que Lecornu seguía el caso personalmente y había encargado la respuesta a ANSSI, que informó de que había identificado una vulnerabilidad en el software del fabricante danés, había contactado con Danfoss, había comenzado a buscar otros operadores franceses que utilizaran el mismo equipo y había iniciado la coordinación con sus homólogos europeos porque otros países podrían verse afectados. El comisario europeo de Agricultura, Christophe Hansen, condenó el ataque y escribió que “la seguridad alimentaria requiere más atención a todos los niveles porque la utilización de los alimentos como arma se ha convertido en una realidad”. Ningún grupo ha reivindicado el ataque y ningún organismo oficial ha ofrecido una atribución.
El incidente de Ahold Delhaize
El mismo fin de semana produjo un segundo incidente en el sector de la distribución alimentaria que, según las evidencias actuales, no está relacionado. Ahold Delhaize, matriz de Albert Heijn, Delhaize y cinco enseñas estadounidenses, empezó a experimentar lo que más tarde calificó de incidente de ciberseguridad la tarde del domingo 11 de octubre, y lo reveló a las 08:29 del 12 de octubre en un comunicado presentado como información privilegiada conforme al Reglamento europeo sobre abuso de mercado. La empresa desconectó sistemas como medida de precaución. En los Países Bajos, los sitios web, las aplicaciones y el servicio de atención al cliente de Albert Heijn, Etos y Gall & Gall dejaron de funcionar, la entrega de compras en línea se detuvo, todos los pedidos realizados fueron cancelados, los programas de fidelización, incluidos Koopzegels y Air Miles, dejaron de funcionar, y el trabajo se paralizó en varios centros de distribución de Albert Heijn. Las etiquetas electrónicas de estantería de las tiendas siguieron mostrando los precios promocionales de la semana anterior, por lo que Albert Heijn pidió a los clientes que conservaran los recibos para su compensación. Delhaize en Bélgica no pudo aceptar nuevos pedidos en línea. En Estados Unidos, los sitios web de Food Lion, Hannaford, Stop & Shop, Giant Food y The Giant Company quedaron fuera de servicio, y el personal de Stop & Shop informó de que había perdido el acceso a los horarios y a las nóminas.
Tom’s Hardware y otros medios informaron de los dos eventos conjuntamente como un ciberataque contra supermercados europeos que afectó a la refrigeración, las entregas y los precios en tienda. Ahold Delhaize no ha dicho qué ocurrió, ningún grupo de ransomware lo ha reivindicado, y ni las autoridades francesas ni las neerlandesas lo han vinculado al ataque contra Danfoss. Ahold Delhaize sufrió un incidente anterior en noviembre de 2024 que expuso datos de más de 2 millones de personas y dejó fuera de servicio el comercio electrónico de Hannaford.
Precedentes en el archivo
La refrigeración ha sido atacada antes, pero nunca con esta amplitud. En noviembre de 2024, la identidad hacktivista CARR, dirigida por el GRU, alcanzó el sistema de control de una planta de procesamiento de carne de Los Ángeles a través de una HMI VNC expuesta a Internet, echó a perder miles de libras de carne y provocó una fuga de amoníaco. En mayo de 2026, una identidad vinculada a Irán reconfiguró los controladores de refrigeración industrial de un procesador de alimentos israelí, dejó válvulas bloqueadas en posición abierta y destruyó tres compresores. El ataque de ransomware a Americold de 2020 y el ataque a JBS Foods de 2021 perturbaron la cadena de frío desde el lado de TI. A finales de agosto de 2026, los congeladores de más de una docena de economatos militares estadounidenses fallaron en el plazo de dos días, y Fort Huachuca informó de que todos sus congeladores habían sido puestos en modo de desescarche; los investigadores del Ejército y de la Fuerza Aérea no han publicado una causa.
El análogo estructural más cercano es la explotación masiva de un único modelo de controlador expuesto a Internet en muchos operadores pequeños: la campaña de CyberAv3ngers contra Unitronics en 2023 y los ataques a PLCs Rockwell MicroLogix en los sistemas de agua de Minnesota en julio de 2026. En cada caso, las víctimas compartían un producto con una debilidad pública y una interfaz de gestión en una dirección enrutable, y el atacante no necesitó ningún punto de apoyo en una red corporativa. El ataque a los supermercados franceses encaja en la misma plantilla, con la refrigeración comercial ocupando el lugar del tratamiento de agua.
Qué deberían extraer los defensores
La refrigeración, la iluminación, las etiquetas electrónicas de estantería, las balanzas y la gestión de edificios de un supermercado suelen ser instaladas y mantenidas por contratistas y quedan fuera de la gobernanza de TI de la tienda. El incidente francés muestra el conjunto completo de modos de fallo a la vez: equipos entre cinco y diez años más allá de su fin de vida útil, unidades actuales sin el firmware aplicado, interfaces de gestión en direcciones públicas, alertas que podían silenciarse desde la misma interfaz que controlaba el atacante y ninguna monitorización de temperatura independiente a la que recurrir. Los operadores de unidades AK-SM 800A deberían confirmar que están en la R4.3.1 o posterior; los operadores de unidades AK-SM 800 y AK-SC 355 no tienen parche que aplicar y deberían retirar los dispositivos de Internet y planificar su sustitución. Unos registradores de temperatura independientes con alertas fuera de banda habrían convertido una pérdida total en una llamada nocturna al técnico en la mayoría de las tiendas afectadas.